アップデートナビに意図しないエンドポイントとの通信を拒否しない脆弱性

　独立行政法人情報処理推進機構（IPA）および一般社団法人JPCERT コーディネーションセンター（JPCERT/CC）は6月12日、アップデートナビにおける意図しないエンドポイントとの通信を拒否しない脆弱性について「Japan Vulnerability Notes（JVN）」で発表した。株式会社ラックの吉越舟氏が報告を行っている。影響を受けるシステムは以下の通り。

アップデートナビ V1.4 L10からL33まで
アップデートナビ インストールサービス Service 1.2.0091から1.2.0125まで

　富士通クライアントコンピューティング株式会社が提供するアップデートナビには、意図しないエンドポイントとの通信を拒否しない脆弱性（CVE-2025-35978）が存在し、ユーザー権限を取得したローカルの攻撃者によって、悪意あるデータを送信された場合、任意のレジストリを書き換えられたり、任意のコードを実行されたりする可能性がある。

　JVNでは、開発者が提供する情報をもとにアプリを最新版へアップデートするよう呼びかけている。なお、当該製品が起動していて、インターネットに接続している場合は自動アップデートが適用される。